Windows 2008之PKI實戰2:註冊和漫遊

在以前，自動註冊是Windows中WINLOGON過程中的一部分，將它暴露給更多的攻擊。實際上，所有的 Windows NT 服務已經被重新設計架構用作一個WMI 任務。這意味著Windows Vista 和 Windows Server 2008組件不會有象Windows Server 2003 和Windows XP那麼多的攻擊面。

認證到期前提前通知特性也被添加進來。換句話說，它就是當一個認證快要終止或已經終止的時候通 知使用者。相關的情境是當自動註冊沒有啟用，電腦不能自動更新或代表使用者註冊一張認證。

憑據漫遊

象前面提到的，憑據漫遊在Windows Server 2003 SP1中已經被引入，現在是Windows Server 2008的 一個組成部分。

憑據漫遊的目的是減少不同電腦的憑據複製，它通過活動目錄將加密金鑰複製到使用者的電腦。

當使用者登入電腦的時候，認證資訊發送到伺服器，在伺服器上公開金鑰和私密金鑰被交換。通常，使用者的憑 據將在工作站之間傳送通過使用漫遊設定檔，這會引起負載增加。

通過憑據漫遊，使用者的公開金鑰和私密金鑰將跟著使用者活動目錄對象不管他們使用哪台電腦。對於活動或漫 遊使用者，這提高了郵件保護、使用者認證和部署智慧卡的能力。

註冊和憑據漫遊的示範

在Windows Server 2008中，註冊使用者介面被提高了很多。同時，對於可用性、靈活性和支援性都得到 增強。為了簡單起見，我們將從同一台電腦即我們的CA伺服器註冊一張新認證。通常情況下，我們能夠 從域內任何一台電腦或伺服器上註冊。我們開啟認證MMC。位於我們當前認證使用者樹下的個人資料夾將 顯示該使用者的當前所有認證。如圖14所示。

在該示範中，我們將請求一張新使用者認證。我們能夠通過Action菜單來完成它。註冊使用者介面給我們 提供了很多新選項，與以前的版本相比。我們將只配置該伺服器接受一些不同類型的認證，但是我們能夠 看到這些可用選項，即使它們沒有被使用。如圖15所示。